CVE-2026-13515
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W urządzeniu Tenda JD12L w wersji 16.03.53.23 wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji formSetPPTPServer pliku /goform/SetPptpServerCfg. Manipulacja argumentem startIp umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego przejęcia kontroli nad urządzeniem, co może prowadzić do naruszenia integralności sieci, wycieku danych lub przerwania działania usług.
Rekomendacja
Zaleca się natychmiastowe zastosowanie aktualizacji firmware od producenta, jeśli jest dostępna, lub tymczasowe wyłączenie funkcji PPTP Server oraz ograniczenie dostępu do interfejsu zarządzania tylko z zaufanych adresów IP.
Inne podatności w Tenda JD12L
Zobacz wszystkie- CVE-2026-13519Wysokie
W urządzeniu Tenda JD12L w wersji oprogramowania 16.03.53.23 odkryto podatność polegającą na przepełnieniu bufora stosu w funkcji fromNatStaticSetting pliku /goform/NatStaticSetting. Atakujący może zdalnie manipulować argumentem page, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-13518Wysokie
W urządzeniu Tenda JD12L w wersji 16.03.53.23 odkryto podatność polegającą na przepełnieniu bufora stosu w funkcji fromAddressNat pliku /goform/addressNat. Atakujący może zdalnie wykorzystać tę lukę poprzez manipulację argumentem page. Szczegóły exploita zostały ujawnione publicznie.
- CVE-2026-13517Wysokie
W oprogramowaniu Tenda JD12L w wersji 16.03.53.23 odkryto podatność polegającą na przepełnieniu bufora stosu w funkcji formWifiBasicSet pliku /goform/WifiBasicSet. Atakujący może zdalnie wykorzystać ten błąd poprzez manipulację argumentem security_5g, co może prowadzić do wykonania dowolnego kodu.
- CVE-2026-13516Wysokie
W oprogramowaniu Tenda JD12L w wersji 16.03.53.23 wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji fromSetWifiGusetBasic pliku /goform/WifiGuestSet. Atakujący może zdalnie wykorzystać tę lukę poprzez manipulację argumentem shareSpeed.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Tenda JD12L 16.03.53.23. Impacted is the function formSetPPTPServer of the file /goform/SetPptpServerCfg. Such manipulation of the argument startIp leads to stack-based buffer overflow. The attack can be launched remotely. The exploit has been disclosed publicly and may be used.